用途：面向 SOC 分析师，对 Elastic Security Attack Discovery（AD）发现进行分诊。AD 发现是把多个告警聚类成的关联攻击叙事，带 LLM 生成的摘要与 MITRE ATT&CK 映射；本技能以“发现”为单位评估，而非逐条告警。适用于用户询问 attack discoveries、correlated attacks、AD findings 或 EASE 时；若询问具体告警、规则触发或按严重性/主机/进程过滤，应使用 alert-triage。
主要能力：调用 triage-attack-discoveries 获取 AD 发现并渲染交互式分诊面板，参数为 days、limit、verdicts；面板展示置信度徽章、实体风险与分诊操作。可用 manage-cases 创建/搜索案例以记录已确认发现，用 threat-hunt 运行 ES|QL 查询深入调查实体。
使用方式：triage-attack-discoveries 只调用一次，不要调用两次。若已能分类，可在 verdicts 中给出 title、classification（benign/suspicious/malicious）、confidence（low/medium/high）、summary（1-2 句理由）、action（建议下一步）。工具返回后，在面板下方按置信度分组（HIGH、MODERATE、LOW）输出分析，逐条说明攻击叙事、评估与建议动作。
置信度信号：告警多样性（1 条告警 1 条规则为低；3+ 告警来自 2+ 不同规则为中；5+ 告警跨多个 MITRE 战术为高）；规则频率（7 天 100+ 告警、多主机属噪声规则，应下调置信度；7 天少于 10 条、单主机属高信号规则，应上调）；实体风险（>90 或 70-90 上调，<20 下调）。
限制与原则：AD 输出应视为假设，叙事中的强措辞（如“confirmed intrusion”）是 LLM 表述而非证据，置信度应基于结构化信号。多数发现需验证，仅高置信度且实体风险强的发现才值得立即建案；中等需补充信息，低等可确认。未经用户批准不得创建案例，面板提供批准/拒绝控件，应呈现分析由用户决定。详细分类标准见 references/confidence-scoring.md。